Twee jaar geleden had ik een interessante Twitter berichtenwisseling met Zivver.
Hun product was voor geadresseerden verre van gebruikersvriendelijk, en ook had ik vraagtekens bij de privacy.
Dit is een reminder om eens te kijken hoe het hen vergaan is.
Thread:
- [WayBack] Jeroen Pluimers on Twitter: “Ik wordt zo moe van organisaties die @ZIVVER_NL gebruiken. Relevante informatie zie ik niet meer in mijn inbox: ik MOET on-line gaan om alles bij elkaar te zoeken. Off-line werken is er niet meer bij. On-line scrollen werkt alleen in de 30% gebruikte scherm en veel werkt niet.”
- [WayBack] ZIVVER (NL) auf Twitter: “Wij waarderen je feedback. Als je hier over door wilt praten, nemen we graag contact met je op.… “
- [WayBack] ZIVVER (NL) on Twitter: “Hallo Jeroen, dat is vervelend. Veiligheid én gebruiksgemak gaan bij ons voor alles. Zou je jouw ervaringen als echte gebruiker met ons willen delen? Stuur ons een dm, dan nemen we contact met je op.”
- [WayBack] Thread by @jpluimers: “@ZIVVER_NL Wat jullie bieden is geen email, maar een on-line message box. Dat uitgangspunt gaat nooit werken met mensed off-line hun werk doen. @ZIVVER_NL Dat nog afgezien dat die on-line message box in vergelijking met bestaande diensten ronduit achterloopt in gebruikersvriendelijkheid. […]”
[WayBack] Jeroen Pluimers on Twitter: “Wat jullie bieden is geen email, maar een on-line message box. Dat uitgangspunt gaat nooit werken met mensen die geregeld off-line hun werk doen.”:
Wat jullie bieden is geen email, maar een on-line message box. Dat uitgangspunt gaat nooit werken met mensen die geregeld off-line hun werk doen.Dat nog afgezien dat die on-line message box in vergelijking met bestaande diensten ronduit achterloopt in gebruikersvriendelijkheid.
Zorg dat je je kunt meten aan outlook.com, gmail.com, inbox.com en dergelijke.
Zorg ook dat je emails volledig met bijlagen doorstuurt naar domains waar je veilig mee kunt communiceren (TLS+SPF+DMIM en een basis DMARC).
Qua UI: zorg dat je rendering de volledige browser pagina gebruikt, en je volledig keyboard support hebt.
Dat is een begin.
Daarna zorgen dat je gebruikers het gedrag van hun UI kunnen aanpassen aan dat van de eerder genoemde web sites en populaire off-line email clients zoals Outlook (op Windows en Mac), Apple Mail (Mac), Thunderbird (Mac, Windows, Linux) en Mailspring (Linux).Jullie dienst dwingt geadresseerden iets anders te gebruiken dan ze gewend zijn, dus moet je ervoor zorgen dat die dienst beter werkt dan wat de gewend zijn.
Oh: en zorg ervoor dat je niet elke keer dat een browser tab gaat slapen, opnieuw toestemming per mail nodig is.
Als voorlopig laatste: ik zie dat gezondheidsorganisaties email met medische gegevens via jullie delen zonder dat de geadresseerde daar toestemming voor gaf. Ik heb heel benieuwd wat de @toezicht_AP daar van vindt. @brenno wat denk jij er eigenlijk van? - [WayBack] Brenno de Winter on Twitter: “Is het niet altijd stuurt dat als je iets via een willekeurig medium verstuurt de ontvanger geen keus heeft? De verzender heeft ook de verantwoordelijkheid dat een veilig mechanisme wordt ingezet.”
- [WayBack] ZIVVER (NL) on Twitter: “Precies. Bij gevoelige informatie moet de verzender ervoor zorgen dat ontvangers sterk geauthenticeerd zijn: als ‘gewone’ e-mail afleveren mag niet. Dat staat in de #AVG, vereist de AP en komt volgend kwartaal als eis in een NEN-norm voor veilige communicatie.”
- [WayBack] ZIVVER (NL) on Twitter: “Gelukkig wordt in die NEN-norm (NTA 7516) ook interoperabiliteit vereist. Dus als je kiest voor een oplossing die NTA 7516-gecertificeerd wordt, kun je e-mails weer ‘normaal’ lezen. Tot die tijd gaan we je feedback zeker meenemen in onze interne discussies!”
- [WayBack] Jeroen Pluimers on Twitter: “Het punt dat ik probeerde te maken is dat nu een partij de medische gegevens langdurig opslaat, zonder dat die partij iets met die informatie te maken heeft. Dat brengt een heel scala aan opslagrisico’s mee, die je niet hebt met een partij die slechts transport doet. 1/2”
- [WayBack] Brenno de Winter on Twitter: “Dat is niet de fout voor de dienstverlener, tenzij de verwerkersovereenkomst daar zaken voor regelt. De verantwoordelijk is en blijft de zorginstelling die gegevens verwerkt en besluit over te dragen. Dat traditionele communicatiemiddelen een ander risicopallet hebben klopt.”
- [WayBack] Jeroen Pluimers on Twitter: “Helder. @ZIVVER_NL: hoe brengen jullie dat heel duidelijk onder de aandacht van jullie klanten?”
- [WayBack] Jeroen Pluimers on Twitter: “Daarnaast kost het gewoon veel tijd om de boel on-line te benaderen. Dan is een brief eigenlijk zo’n gek medium nog niet. Diverse organisaties zijn trouwens inmiddels weer terug naar brief. Ook niet makkelijk, maar wel duidelijk en bekend: papier is van alle tijden (: 2/2”
Gerelateerd:
- [Archive.is] Beveiliging van persoonsgegevens | Autoriteit Persoonsgegevens: Hoe kan ik veilig persoonsgegevens via e-mail versturen?
Hoe kan ik veilig persoonsgegevens via e-mail versturen?
Aan het verzenden van informatie via e-mail zitten risico’s. Dus wilt u persoonsgegevens via e-mail versturen? Bijvoorbeeld gegevens over uw klanten, burgers of andere relaties? Dan bent u er als organisatie verantwoordelijk voor dat u die gegevens veilig verstuurt.U moet voor e-mail maatregelen treffen om te voorkomen dat onbevoegden toegang krijgen tot de informatie. In de wet staat niet precies omschreven welke maatregelen u moet treffen. Wel dat deze passend moeten zijn. Wij geven u hieronder twee voorbeelden van passende maatregelen.1. Het versleutelen van de persoonsgegevens in een e-mailbijlage.
2. Het versleutelen van het e-mailverkeer tussen mailservers met een of meerdere moderne internetstandaard(en). Voorbeelden van moderne internetstandaarden zijn STARTTLS, SPF, DKIM, PGP en S/MIME.Meer informatie van het NCSC
Meer informatie over veilige internetstandaarden vindt u op de website van het Nationaal Cyber Security Centrum (NCSC):E-mailtest
Wilt u weten of uw e-mailvoorziening de moderne internetstandaarden ondersteunt? Doe dan de e-mailtest op de website van internet.nl. - [Archive.is] NCSC publiceert nieuwe factsheet Beveilig verbindingen van mailservers | NCSC
Als u alleen STARTTLS gebruikt om verbindingen tussen mailservers te beveiligen, helpt dat tegen zogenaamde passieve aanvallers. Een actieve aanvaller kan het gebruik van STARTTLS eenvoudig ongedaan maken. U kunt met behulp van DANE op een betrouwbare manier duidelijk maken dat uw mailservers via een beveiligde verbinding bereikbaar zijn.
- [WayBack] Nederland zorgt voor veilig e-mailverkeer | Forum Standaardisatie
- [Archive.is] Factsheet Beveilig verbindingen van mailservers | NCSC
Het NCSC adviseert om STARTTLS en DANE in te schakelen voor al het inkomende en uitgaande e-mailverkeer van uw organisatie.
- [Archive.is] Factsheet Secure the connections of mail servers | NCSC
The NCSC recommends enabling STARTTLS and DANE for all your organisation’s incoming and outgoing email traffic.
- [Archive.is] Factsheet TLS-interceptie | NCSC
- [Archive.is] Factsheet TLS interception | NCSC
- [Archive.is] About the email test:
Test for modern Internet Standards like IPv6, DNSSEC, HTTPS, TLS, HSTS, DMARC, DKIM, SPF, STARTTLS and DANE.
–jeroen
The Wiert Corner - irregular stream of stuff 